JVNVU#97113078
Phoenix Contact 製 Automation Worx Software Suite に複数の脆弱性

Phoenix Contact が提供する Automation Worx Software Suite には、複数の脆弱性が存在します。

• PC Worx version 1.87 およびそれ以前
• PC Worx Express version 1.87 およびそれ以前

Automation Worx Software Suite は Phoenix Contact が提供する産業用システム向けソフトウェアツール集です。Automation Worx Software Suite に含まれる PC Worx および PC Worx Express には次の複数の脆弱性が存在します。

• スタックベースのバッファオーバーフロー (CWE-121) - CVE-2020-12497

  CVSS v3

  CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H

  基本値: 7.8

• 境界外読み取り (CWE-125) - CVE-2020-12498

  CVSS v3

  CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H

  基本値: 7.8

想定される影響は各脆弱性により異なりますが、当該製品はプロジェクトファイル処理中の入力データ検証が不十分であるため、次のような影響を受ける可能性があります。

• 第三者が、特別に細工したプロジェクトファイルを作成し、読み込ませて、スタックオーバーフローを発生させることで、アプリケーションが動作する権限で任意のコードを実行する - CVE-2020-12497
• 第三者が、特別に細工したプロジェクトファイルを作成し、読み込ませて、境界外読み取りを発生させることで、アプリケーションが動作する権限で任意のコードを実行する - CVE-2020-12498

ワークアラウンドを実施する
開発者は次のワークアラウンドを推奨しています。

• ユーザがプロジェクトファイルを交換するときに、セキュアなファイル交換サービスのみを使用する
• 暗号化されていない電子メールでプロジェクトファイルを交換しない
• プロジェクトファイルの完全性を保証するため、プロジェクトファイルの交換または格納時にチェックサムを用いる